CVE-2025-64638
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
Podatność braku autoryzacji w OnPay.io dla WooCommerce (wtyczka onpay-io-for-woocommerce) umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji od n/a do 1.0.47 włącznie.
Ocena ryzyka
Nieautoryzowani użytkownicy mogą uzyskać dostęp do funkcji lub danych, które powinny być chronione, co może prowadzić do naruszenia bezpieczeństwa płatności lub danych klientów.
Rekomendacja
Zaktualizuj wtyczkę OnPay.io dla WooCommerce do wersji nowszej niż 1.0.47, jeśli dostępna, lub skonfiguruj odpowiednie uprawnienia dostępu.
Powiązane podatności
- CVE-2026-7826Krytyczne
Podatność w FalkorDB przed wersją 4.18.4 powoduje odczyt poza granicami pamięci sterty w funkcji BufferSerializerIOv2_ReadBuffer. Zdalny atakujący, który może wydawać polecenia replikacji Redis (np. gdy instancja nie ma skonfigurowanego hasła), może wysłać spreparowany strumień RDB z polem długości pod-bufora przekraczającym pozostały rozmiar bufora. Jedyna kontrola granic to ASSERT(), który jest kompilowany w wersjach release, więc memcpy() czyta poza przydzieloną pamięcią.
- CVE-2026-5759Krytyczne
Podwójne zwolnienie i użycie po zwolnieniu w funkcji RdbLoadDeletedNodes w dekoderach grafów RDB w FalkorDB przed wersją 4.18.1. Zdalny atakujący, który może wydawać polecenia replikacji Redis, może wysłać spreparowany strumień RDB, w którym długość bufora usuniętych węzłów nie jest wielokrotnością sizeof(NodeID). Kontrola długości opiera się na ASSERT(), który jest pomijany w wersjach release, więc funkcja kontynuuje po zwolnieniu bufora, czyta go i zwalnia ponownie.
- CVE-2026-96207Krytyczne
Nieprawidłowa walidacja certyfikatów w Microsoft Partner Center pozwala nieautoryzowanemu atakującemu na podniesienie uprawnień w sieci.
- CVE-2026-94510Krytyczne
Obejście autoryzacji przez klucz kontrolowany przez użytkownika w Microsoft Bookings pozwala nieautoryzowanemu atakującemu na podniesienie uprawnień w sieci.
- CVE-2026-88131Krytyczne
Podatność deserializacji niezaufanych danych w Microsoft Dataverse umożliwia nieautoryzowanemu atakującemu zdalne wykonanie kodu przez sieć.
- CVE-2026-77900Krytyczne
Brak uwierzytelniania dla krytycznej funkcji w Azure App Service umożliwia nieautoryzowanemu atakującemu zdalne wykonanie kodu przez sieć.
- CVE-2026-69435Krytyczne
Brak autoryzacji w Azure SRE Agent umożliwia uwierzytelnionemu atakującemu podniesienie uprawnień przez sieć.
- CVE-2026-84249Krytyczne
IBM Guardium Data Protection w wersjach 12.2 i 12.2.2 może pozwolić zdalnemu atakującemu na wykonywanie dowolnych operacji zarządzających z powodu braku uwierzytelniania dla krytycznej funkcji.
- CVE-2026-80381Krytyczne
IBM Guardium Data Protection w wersjach 12.0, 12.1 i 12.2 może pozwolić zdalnemu atakującemu na wykonywanie nieautoryzowanych instrukcji SQL z powodu podatności SQL injection.
- CVE-2026-75875Krytyczne
IBM Guardium Data Protection w wersjach 12.0, 12.1 i 12.2 może pozwolić zdalnemu atakującemu na wykonanie dowolnego kodu z powodu podatności path traversal.
Oryginalny opis (angielski, źródło NVD)
Missing Authorization vulnerability in OnPay.io OnPay.io for WooCommerce onpay-io-for-woocommerce allows Exploiting Incorrectly Configured Access Control Security Levels.This issue affects OnPay.io for WooCommerce: from n/a through <= 1.0.47.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS